Nota
O acesso a esta página requer autorização. Podes tentar iniciar sessão ou mudar de diretório.
O acesso a esta página requer autorização. Podes tentar mudar de diretório.
A primeira etapa para uma implantação básica do DirectAccess em um único servidor é executar o planejamento da infraestrutura necessária para a implantação. Este tópico descreve as etapas de planejamento de infraestrutura:
| Task | Description |
|---|---|
| Planejar topologia e configurações de rede | Decida onde colocar o servidor DirectAccess (na borda ou atrás de um dispositivo NAT (Network Address Translation) ou firewall) e planeje o endereçamento e o roteamento IP. |
| Planejar requisitos de firewall | Planeje a permissão do DirectAccess por meio de firewalls de borda. |
| Planejar requisitos de certificado | O DirectAccess pode usar Kerberos ou certificados para autenticação de cliente. Nesta implantação básica do DirectAccess, um Proxy Kerberos é configurado automaticamente e a autenticação é realizada usando credenciais do Ative Directory. |
| Planejar requisitos de DNS | Planeje as configurações de DNS para o servidor DirectAccess, servidores de infraestrutura e conectividade de cliente. |
| Planejar o Ative Directory | Planeje seus controladores de domínio e os requisitos do Ative Directory. |
| Planear objetos de diretiva de grupo | Decida quais GPOs são necessários em sua organização e como criar ou editar os GPOs. |
As tarefas de planejamento não precisam ser feitas em uma ordem específica.
Planejar topologia e configurações de rede
Planejar adaptadores de rede e endereçamento IP
Identifique a topologia do adaptador de rede que você deseja usar. O DirectAccess pode ser configurado com uma das seguintes opções:
Com dois adaptadores de rede - Na borda com um adaptador de rede conectado à Internet e o outro à rede interna, ou atrás de um dispositivo NAT, firewall ou roteador, com um adaptador de rede conectado a uma rede de perímetro e o outro à rede interna.
Atrás de um dispositivo NAT com um adaptador de rede - O servidor DirectAccess é instalado atrás de um dispositivo NAT e o único adaptador de rede está conectado à rede interna.
Identifique seus requisitos de endereçamento IP:
O DirectAccess usa IPv6 com IPsec para criar uma conexão segura entre computadores cliente DirectAccess e a rede corporativa interna. No entanto, o DirectAccess não requer necessariamente conectividade com a Internet IPv6 ou suporte nativo a IPv6 em redes internas. Em vez disso, ele configura e usa automaticamente tecnologias de transição IPv6 para encapsular o tráfego IPv6 na Internet IPv4 (6to4, Teredo, IP-HTTPS) e na intranet somente IPv4 (NAT64 ou ISATAP). Para obter uma visão geral dessas tecnologias de transição, consulte os seguintes recursos:
Tecnologias de transição IPv6
Configure os adaptadores e o endereçamento necessários de acordo com a tabela a seguir. Para implantações atrás de um dispositivo NAT usando um único adaptador de rede, configure seus endereços IP usando apenas a coluna Adaptador de rede interno .
Description Adaptador de rede externo Adaptador de rede interno1 Requisitos de roteamento Intranet IPv4 e Internet IPv4 Configure o seguinte: - Um endereço IPv4 público estático com a máscara de sub-rede apropriada.
- Um endereço IPv4 de gateway padrão do seu firewall de Internet ou roteador de provedor de serviços de Internet (ISP) local.Configure o seguinte: - Um endereço de intranet IPv4 com a máscara de sub-rede apropriada.
- Um sufixo DNS específico para a conexão no espaço de nomes da sua intranet. Um servidor DNS também deve ser configurado na interface interna.
- Não configure um gateway padrão em nenhuma interface de intranet.Para configurar o servidor DirectAccess para alcançar todas as sub-redes na rede IPv4 interna, faça o seguinte: 1. Liste os espaços de endereço IPv4 para todos os locais na sua intranet.
2. Use os comandos route add -p ou netsh interface ipv4 add route para adicionar os espaços de endereço IPv4 como rotas estáticas na tabela de roteamento IPv4 do servidor DirectAccess.Internet IPv6 e intranet IPv6 Configure o seguinte: - Use a configuração de endereço autoconfigurada fornecida pelo seu ISP.
- Use o comando route print para garantir que exista uma rota IPv6 padrão apontando para o roteador ISP na tabela de roteamento IPv6.
- Determine se o ISP e os roteadores da intranet estão usando as preferências padrão do roteador descritas na RFC 4191 e usando uma preferência padrão mais alta do que os roteadores da intranet local. Se ambos forem verdadeiros, nenhuma outra configuração para a rota padrão será necessária. A preferência mais alta para o router ISP garante que a rota IPv6 predefinida ativa do servidor DirectAccess aponte para a Internet IPv6.Como o servidor DirectAccess é um roteador IPv6, se você tiver uma infraestrutura IPv6 nativa, a interface da Internet também poderá alcançar os controladores de domínio na intranet. Nesse caso, adicione filtros de pacotes ao controlador de domínio na rede de perímetro que impeçam a conectividade com o endereço IPv6 da interface voltada para a Internet do servidor DirectAccess.
Configure o seguinte: - Se você não estiver usando níveis de preferência padrão, configure suas interfaces de intranet com o comando netsh interface ipv6 set InterfaceIndex ignoredefaultroutes=enabled . Esse comando garante que rotas padrão adicionais apontando para roteadores de intranet não serão adicionadas à tabela de roteamento IPv6. Pode obter o InterfaceIndex das interfaces de intranet a partir da visualização do comando netsh interface show interface.
Se você tiver uma intranet IPv6, para configurar o servidor DirectAccess para alcançar todos os locais IPv6, faça o seguinte: 1. Liste os espaços de endereço IPv6 para todos os locais na sua intranet.
2. Use o comando netsh interface ipv6 add route para adicionar os espaços de endereço IPv6 como rotas estáticas na tabela de roteamento IPv6 do servidor DirectAccess.Internet IPv4 e intranet IPv6 O servidor DirectAccess encaminha o tráfego de rota IPv6 padrão usando a interface do Microsoft 6to4 Adapter para uma retransmissão 6to4 na Internet IPv4. Você pode configurar um servidor DirectAccess para o endereço IPv4 do relay Microsoft 6to4 na Internet IPv4 (usado quando o IPv6 nativo não está implantado na rede corporativa) com o seguinte comando: netsh interface ipv6 6to4 set relay name=192.88.99.1 state=enabled. Note
Tenha em atenção o seguinte:
- Se o cliente DirectAccess tiver recebido um endereço IPv4 público, ele usará a tecnologia de transição 6to4 para se conectar à intranet. Se o cliente DirectAccess não puder se conectar ao servidor DirectAccess com 6to4, ele usará IP-HTTPS.
- Os computadores cliente IPv6 nativos podem se conectar ao servidor DirectAccess por IPv6 nativo e nenhuma tecnologia de transição é necessária.
Planejar requisitos de firewall
Se o servidor DirectAccess estiver protegido por um firewall de borda, as seguintes exceções serão necessárias para o tráfego do DirectAccess quando o servidor DirectAccess estiver na Internet IPv4:
Tráfego 6to4 - Protocolo IP 41 de entrada e saída.
Porta de destino do Protocolo de Controlo IP-HTTPS-Transmission (TCP) porta 443 e porta de origem TCP 443 para saída.
Se você estiver implantando o DirectAccess com um único adaptador de rede e instalando o servidor de local de rede no servidor DirectAccess, a porta TCP 62000 também deverá ser isenta.
Note
Esta isenção está no servidor DirectAccess. Todas as outras exceções estão no firewall de borda.
As seguintes exceções serão necessárias para o tráfego do DirectAccess quando o servidor DirectAccess estiver na Internet IPv6:
Protocolo IP 50
Porta de destino UDP 500 de entrada e porta de origem UDP 500 de saída.
Ao usar firewalls adicionais, aplique as seguintes exceções de firewall de rede interna para o tráfego do DirectAccess:
ISATAP - Protocolo 41 de entrada e saída
TCP/UDP para todo o tráfego IPv4/IPv6
Planejar requisitos de certificado
Os requisitos de certificado para IPsec incluem um certificado de computador usado por computadores cliente DirectAccess ao estabelecer a conexão IPsec entre o cliente e o servidor DirectAccess e um certificado de computador usado por servidores DirectAccess para estabelecer conexões IPsec com clientes DirectAccess. Para o DirectAccess no Windows Server 2012 R2 e no Windows Server 2012, o uso desses certificados IPsec não é obrigatório. O Assistente de Introdução configura o servidor DirectAccess para atuar como um proxy Kerberos para executar a autenticação IPsec sem exigir certificados.
IP-HTTPS servidor. Quando você configura o DirectAccess, o servidor DirectAccess é configurado automaticamente para atuar como o ouvinte da Web IP-HTTPS. O site IP-HTTPS requer um certificado de site e os computadores clientes devem ser capazes de entrar em contato com o site da lista de revogação de certificados (CRL) para obter o certificado. O assistente Habilitar DirectAccess tenta usar o certificado VPN SSTP. Se o SSTP não estiver configurado, ele verificará se um certificado para IP-HTTPS está presente no armazenamento pessoal da máquina. Se nenhum estiver disponível, ele criará automaticamente um certificado autoassinado.
Servidor de localização de rede. O servidor de local de rede é um site usado para detetar se os computadores clientes estão localizados na rede corporativa. O servidor de local de rede requer um certificado de sítio web. Os clientes DirectAccess devem ser capazes de entrar em contato com o site da CRL para obter o certificado. O Assistente para Ativar o Acesso Remoto verifica se um certificado para o Servidor de Localização de Rede está presente no armazenamento pessoal da máquina. Se não estiver presente, ele criará automaticamente um certificado autoassinado.
Os requisitos de certificação para cada um deles estão resumidos na tabela a seguir:
| Autenticação IPsec | IP-HTTPS servidor | Servidor de localização de rede |
|---|---|---|
| Uma autoridade de certificação interna é necessária para emitir certificados de computador para o servidor DirectAccess e clientes para autenticação IPsec quando você não usa o proxy Kerberos para autenticação | AC pública - Recomenda-se usar uma autoridade de certificação pública para emitir o certificado IP-HTTPS, isso garante que o ponto de distribuição da CRL esteja disponível externamente. | AC interna - Você pode usar uma autoridade de certificação interna para emitir o certificado de site do servidor de local de rede. Certifique-se de que o ponto de distribuição da CRL está altamente disponível na rede interna. |
| AC interna - Você pode usar uma CA interna para emitir o certificado IP-HTTPS; no entanto, você deve certificar-se de que o ponto de distribuição CRL está disponível externamente. | Certificado autoassinado - Você pode usar um certificado autoassinado para o site do servidor de local de rede; no entanto, você não pode usar um certificado autoassinado em implantações multissite. | |
| Certificado autoassinado - Você pode usar um certificado autoassinado para o servidor IP-HTTPS; no entanto, você deve certificar-se de que o ponto de distribuição CRL está disponível externamente. Um certificado autoassinado não pode ser usado em uma implantação multissite. |
Planear certificados para IP-HTTPS e servidor de localização de rede
Se desejar provisionar um certificado para esses fins, consulte Implantar um único servidor DirectAccess com configurações avançadas. Se nenhum certificado estiver disponível, o assistente de Introdução criará automaticamente certificados autoassinados para esses fins.
Note
Se você provisionar certificados para IP-HTTPS e o servidor de local de rede manualmente, verifique se os certificados têm um nome de entidade. Se o certificado não tiver um nome de entidade, mas tiver um nome alternativo, ele não será aceito pelo assistente do DirectAccess.
Planejar requisitos de DNS
Em uma implantação do DirectAccess, o DNS é necessário para o seguinte:
Solicitações de cliente DirectAccess. O DNS é usado para resolver solicitações de computadores cliente DirectAccess que não estão localizados na rede interna. Os clientes DirectAccess tentam se conectar ao servidor de local de rede DirectAccess para determinar se estão localizados na Internet ou na rede corporativa: se a conexão for bem-sucedida, os clientes serão determinados como estando na intranet e o DirectAccess não será usado, e as solicitações de cliente serão resolvidas usando o servidor DNS configurado no adaptador de rede do computador cliente. Se a conexão não for bem-sucedida, presume-se que os clientes estejam na Internet. Os clientes DirectAccess usarão a tabela de política de resolução de nomes (NRPT) para determinar qual servidor DNS usar ao resolver solicitações de nome. Você pode especificar que os clientes devem usar o DirectAccess DNS64 para resolver nomes ou um servidor DNS interno alternativo. Ao executar a resolução de nomes, a NRPT é usada por clientes DirectAccess para identificar como lidar com uma solicitação. Os clientes solicitam um FQDN ou um nome de rótulo único, como http://internal. Se um nome de rótulo único for solicitado, um sufixo DNS será anexado para criar um FQDN. Se a consulta DNS corresponder a uma entrada na NRPT e o DNS4 ou um servidor DNS da intranet for especificado para a entrada, a consulta será enviada para resolução de nomes usando o servidor especificado. Se existir uma correspondência, mas nenhum servidor DNS for especificado, isso indica uma regra de isenção e a resolução normal de nomes é aplicada.
Quando um novo sufixo é adicionado à NRPT no console de Gerenciamento do DirectAccess, os servidores DNS padrão para o sufixo podem ser descobertos automaticamente clicando no botão Detetar . A deteção automática funciona da seguinte forma:
Se a rede corporativa for baseada em IPv4 ou IPv4 e IPv6, o endereço padrão será o endereço DNS64 do adaptador interno no servidor DirectAccess.
Se a rede corporativa for baseada em IPv6, o endereço padrão será o endereço IPv6 dos servidores DNS na rede corporativa.
Note
A partir da Atualização de maio de 2020 do Windows 10, um cliente não registra mais seus endereços IP em servidores DNS configurados em uma Tabela de Políticas de Resolução de Nomes (NRPT). Se o registro DNS for necessário, por exemplo, Manage out, ele pode ser explicitamente habilitado com esta chave do Registro no cliente:
Caminho: HKLM\System\CurrentControlSet\Services\Dnscache\Parameters
Tipo: DWORD
Nome do valor: DisableNRPTForAdapterRegistration
Values:
1 - Registo DNS desativado (predefinido desde a atualização de maio de 2020 do Windows 10)
0 - Registo DNS ativado
Servidores de infraestrutura
Servidor de localização de rede. Os clientes DirectAccess tentam acessar o servidor de local de rede para determinar se estão na rede interna. Os clientes na rede interna devem ser capazes de resolver o nome do servidor de local de rede, mas devem ser impedidos de resolver o nome quando estão localizados na Internet. Para garantir que isso ocorra, por padrão, o FQDN do servidor de local de rede é adicionado como uma regra de isenção ao NRPT. Além disso, quando você configura o DirectAccess, as seguintes regras são criadas automaticamente:
Uma regra de sufixo DNS para o domínio raiz ou o nome de domínio do servidor DirectAccess e os endereços IPv6 correspondentes aos servidores DNS da intranet configurados no servidor DirectAccess. Por exemplo, se o servidor DirectAccess for membro do domínio corp.contoso.com, será criada uma regra para o sufixo DNS corp.contoso.com.
Uma regra de isenção para o FQDN do servidor de local de rede. Por exemplo, se a URL do servidor de localização de rede for
https://nls.corp.contoso.com, será criada uma regra de isenção para o FQDN nls.corp.contoso.com.
IP-HTTPS servidor. O servidor DirectAccess atua como um receptor de IP-HTTPS e usa o seu certificado de servidor para autenticar os IP-HTTPS clientes. O nome IP-HTTPS deve ser resolúvel por clientes DirectAccess usando servidores DNS públicos.
Verificadores de conectividade. O DirectAccess cria uma sonda web padrão que é usada pelos clientes DirectAccess para verificar a conectividade com a rede interna. Para garantir que a sonda funcione como esperado, os seguintes nomes devem ser registrados manualmente no DNS:
directaccess-webprobehost - deve resolver para o endereço IPv4 interno do servidor DirectAccess ou para o endereço IPv6 num ambiente apenas IPv6.
DirectAccess-CorpConnectivityHost - Deve resolver para o endereço LocalHost (loopback). Devem ser criados um registo A e um registo AAAA, sendo o registo A com o valor 127.0.0.1 e o registo AAAA com o valor construído a partir do prefixo NAT64, com os últimos 32 bits sendo 127.0.0.1. O prefixo NAT64 pode ser recuperado executando o cmdlet get-netnattransitionconfiguration.
Você pode criar verificadores de conectividade adicionais usando outros endereços da Web por HTTP ou PING. Para cada verificador de conectividade, deve existir uma entrada DNS.
Requisitos do servidor DNS
- Para clientes DirectAccess, você deve usar um servidor DNS que esteja executando o Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 ou qualquer servidor DNS que ofereça suporte a IPv6.
Note
Não é recomendável usar servidores DNS que estejam executando o Windows Server 2003 ao implantar o DirectAccess. Embora os servidores DNS do Windows Server 2003 ofereçam suporte a registros IPv6, o Windows Server 2003 não é mais suportado pela Microsoft. Além disso, você não deve implantar o DirectAccess se os controladores de domínio estiverem executando o Windows Server 2003 devido a um problema com o Serviço de Replicação de Arquivos. Para obter mais informações, consulte Configurações sem suporte do DirectAccess.
Planear o servidor de localização de rede
O servidor de local de rede é um site usado para detetar se os clientes DirectAccess estão localizados na rede corporativa. Os clientes na rede corporativa não usam o DirectAccess para acessar recursos internos, mas se conectam diretamente.
O Assistente de Introdução configura automaticamente o servidor de local de rede no servidor DirectAccess e o site é criado automaticamente quando você implanta o DirectAccess. Isso permite uma instalação simples sem o uso de uma infraestrutura de certificado.
Se você quiser implantar um Servidor de Local de Rede e não usar certificados autoassinados, consulte Implantar um único servidor DirectAccess com configurações avançadas.
Planejar o Ative Directory
DirectAccess usa Active Directory e objetos de diretiva de grupo do Active Directory da seguinte maneira:
Authentication. O Ative Directory é usado para autenticação. O túnel do DirectAccess usa a autenticação Kerberos para o usuário acessar recursos internos.
Objetos de política de grupo. O DirectAccess reúne definições de configuração em objetos de política de grupo que são aplicados a servidores e clientes DirectAccess.
Grupos de segurança. O DirectAccess usa grupos de segurança para reunir e identificar computadores cliente DirectAccess e servidores DirectAccess. As diretivas de grupo são aplicadas ao grupo de segurança necessário.
Requisitos do Ative Directory
Ao planejar o Ative Directory para uma implantação do DirectAccess, é necessário o seguinte:
Pelo menos um controlador de domínio instalado no Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 ou Windows Server 2008.
Se o controlador de domínio estiver em uma rede de perímetro (e, portanto, acessível a partir do adaptador de rede voltado para a Internet do servidor DirectAccess), impeça que o servidor DirectAccess o alcance adicionando filtros de pacotes no controlador de domínio, para impedir a conectividade com o endereço IP do adaptador de Internet.
O servidor DirectAccess deve ser um membro do domínio.
Os clientes DirectAccess devem ser membros do domínio. Os clientes podem pertencer a:
Qualquer domínio que esteja na mesma floresta que o servidor DirectAccess.
Qualquer domínio que tenha uma relação de confiança bidirecional com o domínio do servidor DirectAccess.
Qualquer domínio em uma floresta que tenha uma relação de confiança bidirecional com a floresta à qual o domínio do DirectAccess pertence.
Note
- O servidor DirectAccess não pode ser um controlador de domínio.
- O controlador de domínio do Ative Directory usado para o DirectAccess não deve estar acessível a partir do adaptador de Internet externo do servidor DirectAccess (o adaptador não deve estar no perfil de domínio do Firewall do Windows).
Planear objetos de diretiva de grupo
As configurações do DirectAccess definidas quando você configura o DirectAccess são coletadas em objetos de política de grupo (GPO). Dois GPOs diferentes são preenchidos com configurações do DirectAccess e distribuídos da seguinte maneira:
GPO do cliente DirectAccess. Este GPO contém configurações de cliente, incluindo configurações de tecnologia de transição IPv6, entradas NRPT e regras de segurança de conexão do Firewall do Windows com Segurança Avançada. O GPO é aplicado aos grupos de segurança especificados para os computadores cliente.
GPO do servidor DirectAccess. Esse GPO contém as definições de configuração do DirectAccess que são aplicadas a qualquer servidor configurado como um servidor DirectAccess em sua implantação. Ele também contém regras de segurança de conexão do Firewall do Windows com Segurança Avançada.
Os GPOs podem ser configurados de duas maneiras:
Automatically. Você pode especificar que eles são criados automaticamente. Um nome padrão é especificado para cada GPO. Os GPOs são criados automaticamente pelo Assistente de Introdução.
Manually. Você pode usar GPOs que foram predefinidos pelo administrador do Ative Directory.
Observe que, depois que o DirectAccess estiver configurado para usar GPOs específicos, ele não poderá ser configurado para usar GPOs diferentes.
Important
Quer esteja a utilizar GPOs configurados automática ou manualmente, terá de adicionar uma política para deteção de ligações lentas se os seus clientes utilizarem 3G. O caminho da Diretiva de Grupo para Diretiva: Configurar a deteção de vínculo lento da Diretiva de Grupo é: Configuração do computador / Políticas / Modelos administrativos / Sistema / Diretiva de grupo.
Caution
Use o procedimento a seguir para fazer backup de todos os Objetos de Política de Grupo do DirectAccess antes de executar cmdlets do DirectAccess: Fazer backup e restaurar a configuração do DirectAccess
GPOs criados automaticamente
Observe o seguinte ao usar GPOs criados automaticamente:
Os GPOS criados automaticamente são aplicados de acordo com o parâmetro de localização e alvo do link, da seguinte forma:
Para o GPO do servidor DirectAccess, os parâmetros de local e link apontam para o domínio que contém o servidor DirectAccess.
Quando os GPOs dos clientes são criados, o local é definido como um único domínio no qual o GPO será criado. O nome do GPO é pesquisado em cada domínio e preenchido com as configurações do DirectAccess, se existir. O destino do link é definido como a raiz do domínio no qual o GPO foi criado. Um GPO é criado para cada domínio que contém computadores cliente e o GPO é vinculado à raiz de seu respetivo domínio.
Ao usar GPOs criados automaticamente, para aplicar as configurações do DirectAccess, o administrador do servidor DirectAccess requer as seguintes permissões:
GPO cria permissões para cada domínio.
Permissões de link para todas as raízes de domínio do cliente selecionadas.
Permissões de link para as raízes de domínio do GPO do servidor.
Criar, editar, excluir e modificar permissões de segurança são necessárias para os GPOs.
É recomendável que o administrador do DirectAccess tenha permissões de leitura de GPO para cada domínio necessário. Isso permite que o DirectAccess verifique se GPOs com nomes duplicados não existem ao criar GPOs.
Observe que, se as permissões corretas para vincular GPOs não existirem, um aviso será emitido. A operação do DirectAccess continuará, mas a vinculação não ocorrerá. Se esse aviso for emitido, os links não serão criados automaticamente, mesmo depois que as permissões forem adicionadas posteriormente. Em vez disso, o administrador precisará criar os links manualmente.
GPOs criados manualmente
Observe o seguinte ao usar GPOs criados manualmente:
Os GPOs devem existir antes de executar o assistente de Introdução ao Acesso Remoto.
Ao usar GPOs criados manualmente, para aplicar as configurações do DirectAccess, o administrador do DirectAccess requer permissões completas de GPO (Editar, Excluir, Modificar segurança) nos GPOs criados manualmente.
Ao utilizar GPOs criados manualmente, realiza-se uma pesquisa por um link para o GPO em todo o domínio. Se o GPO não estiver vinculado no domínio, um link será criado automaticamente na raiz do domínio. Se as permissões necessárias para criar o link não estiverem disponíveis, um aviso será emitido.
Observe que, se as permissões corretas para vincular GPOs não existirem, um aviso será emitido. A operação do DirectAccess continuará, mas a vinculação não ocorrerá. Se esse aviso for emitido, os links não serão criados automaticamente, mesmo quando as permissões forem adicionadas posteriormente. Em vez disso, o administrador precisará criar os links manualmente.
Recuperar um GPO excluído
Se um servidor DirectAccess, cliente ou GPO do servidor de aplicativos tiver sido excluído por acidente e não houver backup disponível, você deverá remover as definições de configuração e reconfigurar novamente. Se um backup estiver disponível, você poderá restaurar o GPO a partir do backup.
O Gerenciamento do DirectAccess exibirá a seguinte mensagem de erro: O nome> do GPO do GPO <não pode ser encontrado. Para remover as definições de configuração, execute as seguintes etapas:
Execute o cmdlet do PowerShell Uninstall-remoteaccess.
Reabra o Gerenciamento do DirectAccess.
Você verá uma mensagem de erro informando que o GPO não foi encontrado. Clique Remover configuração. Após a conclusão, o servidor será restaurado para um estado não configurado.